La loi sur l’IA et le RGPD pour l’automatisation par l’IA dans l’UE : quels sont les règlements en vigueur ?
La loi sur l’IA est postérieure au Omnibus numérique de 2026, domaine où relève l’automatisation des tâches internes, et aux principes du RGPD que nous appliquons : minimisation, sous-traitants, article 22, Évaluation des impacts sur la protection des données.
Les entreprises de l’UE qui automatisent le travail à l’aide de l’IA sont soumises à deux ensembles de règles en même temps : le RGPD, en vigueur depuis mai 2018 et qui s’applique aux données personnelles que l’IA soit impliquée ou non, et la loi sur l’IA, le règlement (UE) 2024/1689, qui entre en application par étapes. Il s’agit d’un résumé établi par un ingénieur sur ce que nous concevons lors de la création d’automatisations basées sur l’IA. Ce texte n’est pas un conseil juridique ; pour votre situation particulière, consultez un avocat ou votre responsable de la protection des données.
Calendrier de la loi sur l’IA en novembre 2026
La loi sur l’IA est entrée en vigueur le 1er août 2024 et s’applique progressivement. En juillet 2026, elle a été modifiée par le règlement (UE) 2026/1744 relatif à l’IA, ce qui a modifié les dates concernant les systèmes à haut risque. Situation actuelle :
| Date | Charges applicables |
|---|---|
| 2 février 2025 | Pratiques d’IA interdites (Article 5) et littératie en IA (Article 4, tel que modifié par l’Omnibus) |
| 2 août 2025 | Obligations pour les fournisseurs de modèles d’IA à usage général, gouvernance et sanctions |
| 2 août 2026 | Date générale d’application, y compris la plupart des obligations de transparence |
| 2 décembre 2026 | Délai pour marquer le contenu généré par l’IA pour les systèmes mis sur le marché avant le 2 août 2026 |
| 2 décembre 2027 | Règles relatives aux risques élevés pour les systèmes autonomes énumérés à l’Annexe III |
| 2 août 2028 | Règles relatives aux risques élevés pour l’IA intégrée dans les produits visés par la législation de l’Annexe I |
Les dates et les détails peuvent à nouveau changer suite à de nouvelles modifications et directives, il convient donc de consulter les sources officielles avant de s’y fier.
Où se situe l’automatisation commerciale typique
La loi sur l’IA classe les systèmes en fonction de leur utilisation et non de leur technologie. La plupart des systèmes d’automatisation interne, tels que l’extraction des données des factures, la vérification des certificats des fournisseurs par rapport à une liste de exigences ou la synthèse des contrats à l’intention d’un responsable interne, ne relèvent pas des catégories à haut risque. Les utilisations à haut risque sont énumérées à l’Annexe III et comprennent des domaines tels que le recrutement et la gestion des travailleurs, l’évaluation de la solvabilité des individus, l’accès aux services essentiels, l’éducation et les infrastructures critiques.
Il convient de vérifier cette distinction dès le début. Un outil qui classe les candidats à un emploi ou décide qui obtient un prêt est un projet très différent de celui qui lit des notes de livraison, même si le code est similaire.
Même en dehors des situations à haut risque, certaines obligations s’appliquent : les entreprises doivent favoriser la maîtrise de l’IA chez le personnel qui utilise ces systèmes, les utilisateurs doivent être informés lorsqu’ils communiquent avec un chatbot, et certains contenus générés doivent être marqués comme tels.
Ce que le RGPD exige déjà
Pour la plupart des automatisations de documents, le RGPD constitue la principale préoccupation au quotidien, car les contrats, les factures et les dossiers RH contiennent des données personnelles. Les points sur lesquels nous nous concentrons sont les suivants :
- Base légale et finalité. Les données collectées à une fin donnée ne peuvent pas être simplement réutilisées pour l’entraînement ou une nouvelle analyse.
- Minimisation des données. Ne traitez que les champs nécessaires à la tâche ; masquez ou supprimez le reste avant qu’ils n’atteignent le modèle.
Choix de conception facilitant le respect des réglementations
La plupart des exigences des règles correspondent également à de bonnes pratiques d’ingénierie :
- tenir un registre de ce que fait le système, avec la version du modèle utilisée et la personne qui a approuvé le résultat ;
- impliquer une personne dans les décisions concernant les utilisateurs et assurer une véritable révision, avec le document source visible ;
- exécuter les modèles sur une infrastructure que vous contrôlez lorsque les données sont sensibles (voir l’IA locale pour les documents confidentiels) ;
- conserver un ensemble de test et mesurer la précision avant et après chaque modification (voir les évaluations et la révision humaine) ;
- noter à quoi sert le système et à quoi il ne doit pas être utilisé.
Sources officielles
- Loi sur l’IA : Règlement (UE) 2024/1689 sur EUR-Lex
Nous concevons des solutions d’automatisation basées sur l’IA avec enregistrement des activités, révision par des humains et minimisation des données dès le premier prototype. Consultez la démonstration jusqu’à la mise en production et les agents IA pour la révision de documents. L’évaluation juridique de votre cas spécifique reste entre les mains de vos avocats.